一个防 XSS 自动发留言的演示，看看你能不能绕过~

[zjcqoo]

http://www.etherdream.com/FunnyScript/anti-xssworm/

游戏规则：在控制台里编写代码，若能自动发出留言，就算成功。

• 控制台必须是那个页面的 top 环境。（模拟页面中的 XSS 运行）

• 发表过程自动完成，不能有用户交互。（想象 XSS 自动发留言导致蠕虫）

[xqin]

```
(function(img){
img.onload = updateList
img.src='https://xqin.net/temp/anti-xssworm.php?c=test_' + Math.random()
})(new Image())
```

这样的算吗?

[zjcqoo]

@xqin 后端代理应该不能算~ 这个案例只是为简单，所以不用登陆也可以发表。一般应用都是需要登陆的，代理是不知道用户 token 的。

[xqin]

`游戏规则：在控制台里编写代码，若能自动发出留言，就算成功。` 不是符合了上面的规则了吗? 又没说不让用后端中转.

那个 DEMO, 利用 跨域 隔离运行环境, 从 js 层面想触发 click 是不可能了(只能用户主动点), 并通过 `message` 事件来进行交互.

[xqin]

话说楼主咋换头像了呢 :P

[zjcqoo]

@xqin 没有换啊。。。应该是被和谐了。。。

[zjcqoo]

好吧，我再加个需要登陆的机制。。。不过这样后端还是可以自动发的。

我想想，改下游戏规则。用 clickjacking 也算，但也不能太容易

[lauix]

这也叫防 XSS ？？？

[zjcqoo]

@lauix 防自动发留言

[cyrbuzz]

试了一下:
iframs = document.getElementsByTagName('iframe')
然后 iframs[1].src = 'http://127.0.0.1/test' (0 也可以。)
http://127.0.0.1/test 是个用 flask 搭建的页面，页面就是用 python 请求发消息的地址:
http://cross.etherdream.com/FunnyScript/anti-xssworm/submit.php ，然后就可以发了。

呃，不知道这样可不可以。

[zjcqoo]

@cyrbuzz 这和 1L 是一样的，用代理发送